CVE-2023-6974

Опубликовано: 20 дек. 2023

Источник: nvd

CVSS3: 8.6

CVSS3: 9.8

EPSS Низкий

Описание

A malicious user could use this issue to access internal HTTP(s) servers and in the worst case (ie: aws instance) it could be abuse to get a remote code execution on the victim machine.

Ссылки

https://github.com/mlflow/mlflow/commit/8174250f83352a04c2d42079f414759060458555
Patch
https://huntr.com/bounties/438b0524-da0e-4d08-976a-6f270c688393
Exploit
Third Party Advisory
https://github.com/mlflow/mlflow/commit/8174250f83352a04c2d42079f414759060458555
Patch
https://huntr.com/bounties/438b0524-da0e-4d08-976a-6f270c688393
Exploit
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:lfprojects:mlflow:*:*:*:*:*:*:*:*

Версия до 2.9.2 (исключая)

EPSS

Процентиль: 85%

0.02591

Низкий

8.6 High

CVSS3

9.8 Critical

CVSS3

Дефекты

CWE-918

Связанные уязвимости

GHSA-59v3-898r-qwhj

CVSS3: 9.8

github

около 2 лет назад

MLflow Server-Side Request Forgery (SSRF)

EPSS

Процентиль: 85%

0.02591

Низкий

8.6 High

CVSS3

9.8 Critical

CVSS3

Дефекты

CWE-918